...
Sehr gute Hilfestellung bei der Ergreifung der individuell besten Maßnahmen finden sie auf ntp.org - ntpd access restrictions.
Cisco
Wir haben vermehrt gesehen das Cisco Router und Switches obwohl sie als ntp Client konfiguriert sind anfällig sind auf die version und peerlist Attacke. Das Bespiel unten illustriert in etwa wie man die Konfiguration ändern muss um ds PRoblem zu beheben.
| Codeblock |
|---|
ip access-list extended NTP-IPv4
permit udp host 131.130.250.250 any eq ntp
permit udp host 193.171.23.164 any eq ntp
permit udp host 131.130.1.11 any eq ntp
permit udp host 131.130.1.12 any eq ntp
deny ip any any
ipv6 access-list NTP-IPv6
deny ipv6 any any
ntp access-group peer NTP-IPv4 jenach IOS version ntp access-group ipv4 peer NTP-IPv4
ntp access-group ipv6 peer NTP-IPv6 |
Links
US-CERT Alert (TA14-013A) NTP Amplification Attacks Using CVE-2013-5211
https://www.us-cert.gov/ncas/alerts/TA14-013A
...
ACOnet-Timeserver
http://www.aco.net/timeserver.html?&L=0
Blog für Cisco
http://blog.ine.com/2008/07/28/ntp-access-control/
Erfahrungen
Derzeit keine vermerkt.
...